RGPD : la checklist cabinet esthétique avant d’utiliser des outils IA

Bases légales, sous-traitants, HDS, minimisation : un guide opérationnel pour démarrer sans zone grise.

La question n’est pas “peut-on utiliser l’IA ?” mais “dans quelles conditions, pour quel usage, et avec quel niveau de garantie ?”. Un cabinet qui met en place une IA sans cadre se met en difficulté inutilement.

Cette checklist n’est pas un avis juridique personnalisé. C’est une grille opérationnelle pour éviter les erreurs les plus fréquentes : se lancer sans cartographie, choisir un outil sans garanties, ou documenter “après coup”. L’objectif : réduire le risque, et augmenter la confiance.

Étape 1 — Cartographier (avant d’acheter)

• Usage exact (compte-rendu, tri des demandes, aide à l’écriture…).
• Données manipulées (identifiantes ? photos ? données de santé ?).
• Qui a accès (médecin, assistant, prestataire).
• Où sont stockées les données (pays, hébergeur, durée).

Étape 2 — Contrats et sous-traitants

Demandez un accord de traitement (DPA), des mesures de sécurité, et des engagements sur la confidentialité. Sans documents, vous êtes “dans le flou”.

Étape 2bis — Les 7 questions à poser à un prestataire

• Qui est le sous-traitant et où est-il établi ?
• Quelles données sont traitées et à quelles fins ?
• Y a-t-il un entraînement sur les données ? (et si oui, comment l’éviter)
• Où sont stockées les données ? Combien de temps ?
• Quelles mesures de sécurité (chiffrement, accès, logs) ?
• Comment exercer les droits (accès, suppression, export) ?
• Que se passe-t-il en cas d’incident (procédure, délais, contact) ?

Étape 3 — Minimiser

"La meilleure sécurité, c’est la minimisation : ne traiter que ce qui est nécessaire, et le moins longtemps possible."

Créez des templates anonymes, standardisez les documents, et évitez d’envoyer des données patient dans des outils grand public. Pour aller plus loin, l’article “Données de santé et IA : ce que dit la loi en 2026” détaille le cadre.

Étape 4 — Mettre par écrit (et être serein)

La conformité n’est pas un “dossier” : c’est un minimum de documentation qui prouve votre intention de bien faire et votre maîtrise des risques. Un registre de traitements, une information claire, et des procédures simples (qui fait quoi, quand) suffisent souvent à rendre votre système robuste.

Pour cadrer vos usages avant d’intégrer un outil, appuyez-vous sur Données de santé et IA : ce que dit la loi en 2026 et sur Éthique et responsabilité : encadrer l’usage de l’IA. Pour les références officielles, la CNIL (RGPD) et le texte EUR-Lex du RGPD posent le cadre.